Ny nettleser­utvidelse kan gjøre BankID enda litt sikrere

[Harald Brombach (digi.no)]

Ny nettleser­utvidelse kan gjøre BankID enda litt sikrere

[Vegard Engen]

Jeg er ikke hundre prosent sikker hvor lurt slike ting som dette er. Det kan fort bli en falsk trygghet, og malware kan begynne å etterligne det, og dermed gå under radaren. Folk flest vil ikke skjønne forskjellen på www.kodebrikke.no og lignende domenenavn, eller grønt nær adressefeltet og grønt øverst på den virkelige siden.

Så: Lett å bli lurt likevel. De som er såpass sikkerhetsbevisst at de skjer forskjellene jeg har nevnt over, hvor stor andel av de vil egentlig trenge denne uansett?

[tg90nor]

10 hours ago, Vegard Engen said:

Jeg er ikke hundre prosent sikker hvor lurt slike ting som dette er. Det kan fort bli en falsk trygghet, og malware kan begynne å etterligne det, og dermed gå under radaren. Folk flest vil ikke skjønne forskjellen på www.kodebrikke.no og lignende domenenavn, eller grønt nær adressefeltet og grønt øverst på den virkelige siden.

Så: Lett å bli lurt likevel. De som er såpass sikkerhetsbevisst at de skjer forskjellene jeg har nevnt over, hvor stor andel av de vil egentlig trenge denne uansett?

Det er bortimot umulig å verifisere om en Bankid-innloggingsside er ekte eller ikke, uansett hvor sikkerhetsbevisst man måtte være. Denne utvidelsen ville vært unødvendig om Bankid hadde gått for en løsning med redirect framfor iframe.

[Gjest Slettet-x7D6du0Hjb]

tg90nor skrev (42 minutter siden):

Det er bortimot umulig å verifisere om en Bankid-innloggingsside er ekte eller ikke, uansett hvor sikkerhetsbevisst man måtte være. Denne utvidelsen ville vært unødvendig om Bankid hadde gått for en løsning med redirect framfor iframe.

Jeg er ganske sikker på at de har gått vekk fra iframe for en god stund siden? 

[tg90nor]

57 minutes ago, Omnia vincit amor said:

Jeg er ganske sikker på at de har gått vekk fra iframe for en god stund siden? 

Du kan ganske enkelt sjekke kildekoden til en hvilken som helst bankid-innloggingsside, så ser du at det er en iframe. Har lagt ved screenshot for enkelhets skyld.

[Gjest Slettet-x7D6du0Hjb]

tg90nor skrev (3 minutter siden):

Du kan ganske enkelt sjekke kildekoden til en hvilken som helst bankid-innloggingsside, så ser du at det er en iframe. Har lagt ved screenshot for enkelhets skyld.

Åja. Jeg ser forøvrig at det ikke er tilfelle om du velger f.eks. BankID på mobil. 

Men enig i at det er ganske søkt at de fremdeles bruker iframe. 

Endret 2. mars 2020 av Slettet-x7D6du0Hjb

[Gjest Slettet+987123849734]

Skulle vel tro at det er de benytter seg av bankid som har implementert dette ved bruk av iframe. Bankid er vel saml2 basert og det skal vel ikke være nødvendig med iframe da.

[tg90nor]

2 hours ago, mittvisningsnavn said:

Skulle vel tro at det er de benytter seg av bankid som har implementert dette ved bruk av iframe. Bankid er vel saml2 basert og det skal vel ikke være nødvendig med iframe da.

Det kan godt hende, men jeg har aldri sett noen implementere vanlig Bankid med kodebrikke på noen annen måte enn med iframe.

[NightlyDev]

Det er en elendig løsning, og langt fra sikkert. La brukere autentisere seg på bankid.no, og bruk U2F.

[tg90nor]

For nye brukersteder ser det ut som at OpenID Connect med redirect er foretrukket, noe som er en bra løsning, men de burde fase ut iframe.